Правове регулювання та практика Європейського Суду з прав людини і Європейського Суду справедливості щодо прав людини у сфері використання цифрових технологій

Окремі аспекти правового регулювання та судової практики прав людини у сфері використання цифрових тегнологій стали предметом наукового розгляду О. Гиляки [1, с. 16], В. Серьогіна [2, с. 7], Р. Пожоджука [3, с. 97], М. Абдули [4, с. 16], Ж. Штуйк [5, с. 367], А. Пазюка [6], Р. Кабальського [7, с. 148] та ін.

Р. Пожоджук у своїй статті наголошує, що стрімкий розвиток електронної комерції та повсюдна діджиталізація є безумовно прогресивним моментом еволюції людства. Водночас це спричиняє не тільки позитивні зміни в глобальній економіці, а й створює окремі загрози та виклики, які потребують оперативного реагування та вирішення [3, с. 98].

М. Абдула зазначає, що розвиток у методах виробництва і дистрибуції, а також щодо різних видів договорів щодо товарів і послуг може призвести до загального браку інформації з боку споживача, що впливає на прийняття ним зважених рішень щодо покупки [4, с. 16].

Ж. Штуйк звертає увагу на те, що сучасне інформаційне суспільство у своєму розвитку докорінно змінює взаємодію споживача та постачальника товарів, робіт чи послуг. Споживче право в цілому розглядається як інструмент покращення захисту прав споживачів. Це зумовлює фундаментальне питання, чи інтереси споживача найкраще забезпечуються захисними заходами [5, с. 367].

А. Пазюк, досліджуючи інститут захисту недоторканості приватного життя, зазначає, що у західній правовій доктрині для його позначення використовується термін "прайвесі" (англ. privacy). Найбільш вдалим його перекладом українською мовою є слово приватність, яке співвідноситься зі словом приватний, що характеризує належність до приватної сфери життя людини. Термін приватність за останні роки здобув визнання і закріпився в лексиконі українських правників, завдячуючи лаконічності відображення сутності цього правового феномену [6].

Р. Кабальський у своїй роботі досліджує основні аспекти використання даних електронного листування для доказування в цивільному судочинстві та акцентує увагу на тому, що сьогодні складно знайти людину, яка б не користувалась електронною поштою, електронним переказом коштів, не мала б електронну сторінку в мережі Інтернет, не приймала б повідомлення в месенджерах, не створював електронні файли. Поряд з позитивними результатами цього явища можна констатувати й негативні наслідки. Наприклад, часте укладання цивільно-правових правочинів безпосередньо в месенджерах, соціальних мережах, наприклад купівля в інтернет-магазині, що не зареєстрований як суб'єкт підприємницької діяльності, а існує лише наприклад як сторінка в мережі Instagram [7, с. 148].

Матеріали та методи

Результати та обговорення

3.1. Правове регулювання прав людини в умовах використання цифрових технологій

У 1995 році Європейське співтовариство прийняло Директиву 95/46/EC про захист прав осіб під час обробки персональних даних і їх вільного переміщення. Стаття 12 Директиви надає суб'єктам даних право отримувати інформацію контролера даних, якщо відбувається обробка його даних, і право на виправлення, видалення або блокування даних, якщо вони є неповними або неточними.

Подібно до Конвенції, Директива 1995 року надає чіткі вказівки щодо того, як можна збирати дані. Повинна бути згода суб'єкта даних або обробка повинна бути необхідною на підставі юридичного зобов'язання контролера чи захисту життєво важливих інтересів суб'єкта даних. Суб'єкту даних було надано право отримати інформацію щодо контролера, цілей обробки його даних і переліку одержувачів даних.

Директива про телекомунікації 1997 року та Директива про конфіденційність електронної пошти 2002 року окреслили, як принципи Директиви 1995 року будуть реалізовані у сферах телекомунікацій та онлайн. Директива Європейського парламенту та Ради 97/13/EC від 10 квітня 1997 року встановила загальні правила отримання дозволів та індивідуальних ліцензій у сфері телекомунікаційних послуг. Директива 2002/58/EC щодо електронної конфіденційності стосується юридичних осіб та не поширюється на зовнішню політику та політику безпеки, поліцейську та судову співпрацю у кримінальних справах. Ця директива засуджує будь-які форми шпигунського програмного забезпечення, яке розглядається як серйозне втручання в конфіденційність. Файли cookie у цьому документі розглядаються як законний інструмент для отримання відповідної інформації. Користувачам має бути надано чітку та стислу інформацію про використання файлів cookie.

Директива Європейського Парламенту та Ради 2002/58/EC від 12 липня 2002 року щодо обробки персональних даних і захисту конфіденційності в секторі електронних комунікацій (Директива про конфіденційність та електронні комунікації) допускає обмеження з міркувань національної безпеки щодо конфіденційності передачі, даних трафіку та даних про місцезнаходження. Дозволено зберігати дані протягом обмеженого періоду часу.

Після сплеску терористичних атак на початку 2000-х років у 2006 році було видано Директиву про збереження даних, яка змінила Директиву 2002 року та зобов'язала телекомунікаційні мережі зберігати певні категорії трафіку протягом щонайменше шести місяців. Доступ до даних можна отримати лише з дозволу національного суду відповідно до процедур країни. Зазначене положення було передбачено у Директиві Європейського парламенту та Ради 2006/24/EC від 15 березня 2006 року про збереження даних, створених або оброблених у зв'язку з наданням загальнодоступних електронних комунікаційних послуг або громадських комунікаційних мереж, та про внесення змін до Директиви 2002/58/EC.

Хартія основних прав Європейського союзу набула чинності разом із Лісабонським договором 1 грудня 2009 року. Хартія відображає принципи Європейської конвенції з прав людини, Європейської соціальної хартії та практики Суду ЄС. Вона включає право на повагу до приватного та сімейного життя, право на захист персональних даних і свободу вираження поглядів та інформації.

У 2016 році було прийнято Загальний регламент захисту даних (GDPR), який набув чинності в травні 2018 року. Регламент замінив Директиву 1995 року. Деякі з ключових удосконалень включають захист даних особи, зміни в праві на видалення та суворі санкції за недотримання регламенту. Тепер захист даних має бути присутній у розробці бізнес-процесів для продуктів і послуг. Контролер повинен вжити заходів для забезпечення того, щоб персональні дані оброблялися лише в обсязі, необхідному для конкретної мети. Параметри конфіденційності за замовчуванням мають бути встановлені на високому рівні.

Регламент (ЄС) 2016/679 Європейського Парламенту та Ради від 27 квітня 2016 року про захист фізичних осіб щодо обробки персональних даних і про вільний рух таких даних, а також про скасування Директиви 95/46/EC передбачив реалізацію захисту даних за замовчуванням, право на видалення, яке дозволяє суб'єкту даних вимагати видалення персональних даних на певних підставах, у тому числі якщо дані більше не актуальні для цілей обробки або якщо суб'єкт даних відкликає згоду.

Право на доступ, закріплене у Директиві 1995 року, було розширено. У той час як Директива 1995 року надавала суб'єкту даних право на виправлення, видалення або блокування обробки даних у разі неповного або неточного характеру даних, GDPR, крім того, надало право на видалення, коли персональні дані більше не є необхідні для цілей, для яких вони були зібрані, або якщо користувач скасовує свою згоду на обробку даних. Це право не є абсолютним - його слід порівнювати зі свободою слова та інформації. Крім того, якщо обробка потрібна для виконання юридичних зобов'язань, в інтересах громадського здоров'я, для цілей архівування в суспільних інтересах або для встановлення, здійснення чи захисту юридичних претензій, запит на видалення також може бути відхилено.

Головне завдання правового регулювання прав людини в умовах використання цифрових технологій - це захист фундаментальних прав та створення правового порядку. Поряд з системою правових норм захист основних прав передбачає й інші заходи, розроблені як в рамках національних правових систем, так і ті, що передбачені у ЄКПЛ. Кожен із цих механізмів захисту переслідує конкретні цілі і механізми, які, безперечно, побудовані на основі правових інструментів. Одним із таких механізмів є можливість захисту порушеного права у суді, про що піде мова у наступному розділі.

3.2. Аналіз справ Європейського суду з прав людини та Суду справедливості Європейського союзу з питань реалізації прав людини в Інтернеті З початку 2000-х років як Європейський суд з прав людини (ЄСПЛ), так і Суду справедливості Європейського союзу (ЄС) спостерігали різке зростання кількості прецедентного права, пов'язаного з Інтернетом.

Вибрані справи будуть зосереджені на двох аспектах прецедентного права, пов'язаного з Інтернетом, - індивідуальному праві на конфіденційність і захист даних, що здійснюється шляхом виправлення, стирання чи видалення даних, і законності механізмів масового спостереження, особливо якщо вони дозволяють передачу даних до третіх країн.

У справі Google Іспанія [17] розглядалось питання розширення сфери застосування Директиви 1995 року 95/46/EC про захист осіб у зв'язку з обробкою персональних даних і вільного переміщення таких даних. Громадянин Іспанії попросив Google видалити особисті дані, які були збережені з аукціону продажу його будинку. В якості правової основи заявник, пан Костеха, посилався на Директиву про захист даних 1995 року. До суду було направлено три питання: чи Директива ЄС про захист даних 1995 року застосовується до пошукових систем, таких як Google; чи застосовується законодавство ЄС до Google Spain, враховуючи, що сервер обробки даних компанії був у Сполучених Штатах; чи має право особа вимагати видалення її особистих даних із доступу через пошукову систему (право бути забутим)?

Суд постановив, що Google можна вважати контролером даних у розумінні Директиви, що особи мають право вимагати видалення персональних даних із загального доступу. Ця справа відіграла важливу роль у складанні проекту Загального регламенту захисту даних (GDPR).

Наступну справу було подано в рамках провадження між паном Шремсом і Уповноваженим із захисту даних щодо відмови останнього розслідувати скаргу пана Шремса щодо того, що "Facebook Ірландія" передає особисті дані своїх користувачів до Сполучених Штатів Америки та зберігає їх на серверах, розташованих у цій країні.

Для забезпечення належного стандарту захисту персональних даних у Сполучених Штатах були розроблені принципи "безпечної гавані". У США погодилися дотримуватися семи принципів, перелічених у Директиві про захист даних 1995 року: особи повинні бути проінформовані про те, що їх дані збираються та як вони будуть використовуватися; повинна бути можливість відмовитися від збору та передачі даних третім особам; загалом передача може відбуватися лише третім особам, які дотримуються відповідних принципів захисту даних; контролери даних повинні докласти розумних зусиль, щоб запобігти втраті зібраної інформації; зібрані дані мають бути відповідними та надійними для мети, для якої вони були зібрані; особи мають право на доступ до інформації про себе та право змінити або видалити її, якщо вона є недостовірною; Сполучені Штати забезпечать наявність ефективних способів забезпечення виконання правил.

Після викриття певних даних Шремса, ним було подано заяву до ірландського органу з нагляду за захистом даних, щоб перевірити, чи передача даних від Facebook Ireland на сервери, які розташовані в США, відповідала Директиві 1995 року. Орган із захисту даних відмовився розслідувати цю справу, і вона була передана до національних судів Ірландії, де її було передано для попереднього розгляду до Суду справедливості Європейського Союзу. Суду було запропоновано відповісти на запитання: чи наглядовий орган зобов'язаний перевіряти, що Сполучені Штати забезпечують необхідний рівень захисту; або, як альтернатива, посадова особа може та/або повинна провести власне розслідування справи у світлі фактичних подій?

Суд установив, що принципи "безпечної гавані" виходять за рамки повноважень, наданих національним органам із захисту даних Директивою 1995 року. Це конкретне положення надає владі повноваження призупиняти потоки даних, якщо відповідний державний орган у Сполучених Штатах виявляє, що організація не дотримується принципів "безпечної гавані", або якщо існує значна ймовірність того, що принципи порушуються. Оскільки, у рішенні конкретно не зазначено, що Сполучені Штати фактично "забезпечують" необхідний рівень захисту, Суд дійшов висновку, що рішення щодо "безпечної гавані" було недійсним.

У справі "Unabhangiges Landeszentrum fur Datenschutz Schleswig-Holstein v. Wirtschaftsakademie Schleswig-Holstein" [18] Суд ухвалив рішення щодо питань, які стосуються аспектів усіх попередніх справ. Відповідач створив фан-сторінку у Facebook. Ця фан-сторінка збирала анонімні файли cookie, які зберігалися у Facebook протягом двох років і могли використовуватися для отримання статистики про те, хто переглядав фан-сторінку. Ні Facebook, ні Wirtschaftsakademie не повідомили користувача про збір цих файлів cookie. Управління захисту даних землі Шлезвіг-Гольштейн наказало Wirtschaftsakademie закрити фан-сторінку, або їй буде загрожувати штраф. Wirtschaftsakademie стверджувала, що вона не є контролером даних відповідно до Директиви 1995 року. Суд підтвердив позицію уряду Німеччини, що втручання держави в зазначеній справі у процес використання особистих даних осіб були необхідними в демократичному суспільстві і не порушує права журналістів на свободу слова. Суд зазначив, що при здійсненні заходів стеження та обробки отриманих даних мають існувати гарантії проти зловживань.

У справі "Big Brother Watch проти Великобританії" [19] Суд ухвалив рішення, яке вплинуло на масове стеження за громадянами Європи. Справа стосувалася характеру перехоплення електронних комунікацій Сполученим Королівством. Після викриття агента Штаб урядового зв'язку був звинувачений у проведенні операції Tempora, яка дозволяла йому підключатися до носіїв та отримувати дані з них. На основі так званих простих селекторів (тобто адреси електронної пошти) дані осіб збиралися та зберігалися. Інші дані автоматично відкидалися. Після процесу сортування система визначала, які дані насправді відкриті. Правовою основою для збору даних були Закони про розвідувальні служби та Закони про служби безпеки.

Big Brother Watch та інші британські некомерційні організації звернулися до уряду з проханням визнати ці операції неприйнятними з точки зору практики Європейського суду з прав людини. Однак судове провадження у національних судах Великобританії завершилося ухваленням рішень не на користь заявників.

ЄСПЛ ухвалив рішення на користь заявників, але наголосив на тому, що масове перехоплення даних є цінним засобом для досягнення законних цілей, особливо з огляду на поточний рівень загрози як від глобального тероризму, так і від інших серйозних злочинів. Зі своєї прецедентної практики Суд дійшов висновку, що держави мають велику свободу розсуду, коли вживають заходів для запобігання проявів тероризму, тому перевіряючи на трирівневий тест, Суд підтримав точку зору, що втручання було необхідним у демократичному суспільстві.

Європейські суди, незважаючи на історичне небажання визнавати шкоду конфіденційності та жахливі наслідки в певних контекстах, продемонстрували більшу готовність приймати такі позови в ряді недавніх резонансних справ. Серед них - трансформаційне рішення Суду справедливості ЄС у справі Google Іспанія про визнання обмеженого права бути забутим у 2014 році; рішення Європейського суду з прав людини про скасування принципів безпечної гавані у 2015 році; та рішення Європейського суду з прав людини, яке продемонструвало практику масового онлайн-спостереження Штаб-квартири урядового зв'язку Сполученого Королівства, британського агентства сигнальної розвідки, яка порушувала конфіденційність і не передбачала достатніх гарантій захисту від стеження. Суди США не виявляли такого ж ставлення до справ щодо захисту прав людини на приват- ність в умовах цифрових технологій, але і там з'являються ознаки того, що американські суди також можуть бути більш відкритими до претензій щодо конфіденційності та стеження, оскільки четвертий окружний апеляційний суд нещодавно дозволив продовжити позов, поданий Американською асоціацією громадянських свобод проти уряду США щодо шкоди конфіденційності через належне спостереження, скасовуючи ухвалу суду нижчої інстанції про її повну відмову.

Висновки